CVE-2025-3277
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
EPSS-Score
1.3%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2025-3277 beschreibt einen Integer-Überlauf in der concat_ws()-Funktion von SQLite. Diese Schwachstelle kann zu einem Heap-Buffer-Overflow von etwa 4 GB führen, wenn SQLite versucht, eine Zeichenkette in einen zu klein dimensionierten Puffer zu schreiben. Die erfolgreiche Ausnutzung dieser Schwachstelle kann potenziell die Ausführung von beliebigem Code ermöglichen. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst schwerwiegend einzustufen. Obwohl die Exploit-Wahrscheinlichkeit (EPSS) derzeit bei nur 1% liegt und die Schwachstelle nicht in CISA's KEV-Katalog aufgeführt ist, deutet die Möglichkeit der beliebigen Codeausführung auf ein hohes Risiko hin. Security-Teams sollten die Entwicklung dieser Schwachstelle genau beobachten und auf verfügbare Patches oder Updates für SQLite-Installationen vorbereitet sein. Eine Priorisierung der Aktualisierung ist ratsam, sobald offizielle Fixes veröffentlicht werden, um das Risiko einer potenziellen Kompromittierung zu minimieren.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
An integer overflow can be triggered in SQLite’s `concat_ws()` function. The resulting, truncated integer is then used to allocate a buffer. When SQLite then writes the resulting string to the buffer, it uses the original, untruncated size and thus a wild Heap Buffer overflow of size ~4GB can be triggered. This can result in arbitrary code execution.
Betroffene Produkte
- cpe:2.3:a:sqlite:sqlite:*:*:*:*:*:*:*:*